ExpressJS/NodeJS后端HTTPS适配问题求助（Docker+DigitalOcean场景）

我将全栈Web应用部署到DigitalOcean，现有两个Docker镜像：一个用于静态提供前端文件，另一个是处理API调用的ExpressJS后端。刚为网站配置Cloudflare启用HTTPS，现在通过域名以HTTPS访问时后端无响应，但通过Droplet的IP用HTTP访问API完全正常。

当前端口映射：前端容器3000端口映射到外部80端口，后端为3001:3001端口映射。曾尝试用https.createServer(options, app)让后端监听HTTPS请求，没有效果；听说需要用Nginx，但不清楚如何与两个Docker镜像配合。

补充：我认为无需修改Express以支持HTTPS，应该通过Nginx做反向代理，将请求转换为HTTP后再发给Express，但不知道具体操作。

后端代码如下：

const express = require("express");
const webserver = express();
const cors = require("cors");
const mysql = require("mysql");

// Connection pool here

webserver.use(cors());
webserver.use(express.json());

const PORT = 3001;

//api routes here

webserver.listen(PORT, () => {
  console.log(`[Express] Server running on ${PORT}`);
});

你的思路完全正确，用Nginx做反向代理是最优方案——Cloudflare负责对外的HTTPS加密，Nginx在Droplet内部将HTTPS请求转换为HTTP转发给后端，同时处理前端静态资源请求。以下是具体操作步骤：

1. 用Docker Compose管理容器（推荐） #

将Nginx、前端、后端三个服务用Docker Compose编排，避免手动管理端口映射和网络。创建docker-compose.yml文件：

version: '3.8'
services:
  frontend:
    image: 你的前端镜像名
    restart: always
    networks:
      - app-network
    # 无需对外映射端口，由Nginx转发请求

  backend:
    image: 你的后端镜像名
    restart: always
    networks:
      - app-network
    # 无需对外映射端口，通过内部网络访问

  nginx:
    image: nginx:alpine
    restart: always
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./nginx.conf:/etc/nginx/nginx.conf  # 挂载自定义Nginx配置
      - ./ssl:/etc/nginx/ssl  # 挂载Cloudflare证书（按需配置）
    networks:
      - app-network

networks:
  app-network:
    driver: bridge

2. 配置Nginx反向代理规则 #

创建nginx.conf文件，区分前端静态资源和API请求的转发逻辑：

events {}

http {
  upstream frontend {
    server frontend:3000;  # 对应Docker Compose中的前端服务名和容器内端口
  }

  upstream backend {
    server backend:3001;  # 对应Docker Compose中的后端服务名和容器内端口
  }

  server {
    listen 80;
    server_name 你的域名;

    # 将HTTP请求重定向到HTTPS（Cloudflare开启Full/Strict模式时启用）
    return 301 https://$server_name$request_uri;
  }

  server {
    listen 443 ssl;
    server_name 你的域名;

    # 若使用Cloudflare Flexible模式，无需配置SSL证书（Cloudflare与Droplet间为HTTP）
    # 若使用Full/Strict模式，需将Cloudflare提供的证书放入./ssl目录，取消下方两行注释
    # ssl_certificate /etc/nginx/ssl/cert.pem;
    # ssl_certificate_key /etc/nginx/ssl/key.pem;

    # 前端静态资源请求转发到前端服务
    location / {
      proxy_pass http://frontend;
      proxy_set_header Host $host;
      proxy_set_header X-Real-IP $remote_addr;
    }

    # API请求转发到后端服务（假设API前缀为/api）
    location /api {
      proxy_pass http://backend;
      proxy_set_header Host $host;
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header X-Forwarded-Proto $scheme;  # 告知后端请求来自HTTPS
    }
  }
}

3. Cloudflare配置调整 #

• 将SSL/TLS模式设置为Flexible或Full：
  • Flexible：Cloudflare与Droplet间用HTTP，无需在Droplet上部署SSL证书，适合快速配置；
  • Full：Cloudflare与Droplet间用HTTPS，需在Droplet上配置Cloudflare提供的证书（可在Cloudflare面板下载）；
• 确保DNS记录开启橙色云朵（代理模式），让流量经过Cloudflare；
• 检查防火墙规则，确认未拦截API请求。

4. 调整前端API请求地址 #

将前端中的API请求地址改为https://你的域名/api/xxx，而非直接使用IP+端口，确保请求经过Cloudflare和Nginx转发到后端。

5. 启动服务 #

在docker-compose.yml所在目录执行：

docker-compose up -d

配置完成后，所有HTTPS请求会先到Cloudflare，再转发到Droplet的Nginx，Nginx根据请求路径分发到前端或后端，后端接收的是HTTP请求，无需修改现有Express代码。

内容的提问来源于stack exchange，提问作者Dylan